Können RFID-Tags wirklich geklont werden?

Warum RFID-Cloning keine einfache Ja-oder-Nein-Frage ist

Die ehrliche Antwort auf die Frage, ob RFID-Tags geklont werden können, lautet: Ja, einige können es. Für eine fundierte Sicherheitsbewertung reicht diese Antwort jedoch nicht aus. In der Praxis hängt das Klonrisiko davon ab, welcher Tag-Typ eingesetzt wird, welche Daten gespeichert sind, welche Sicherheitsfunktionen der Chip bietet, wie das Lesesystem aufgebaut ist und was im konkreten Projekt überhaupt mit „geklont“ gemeint ist. In manchen Fällen genügt es, eine sichtbare Kennung auf einen kompatiblen Tag zu kopieren. In anderen Fällen ist das deutlich schwieriger, weil der Tag mit Authentifizierung, geschützten Speicherbereichen oder kryptografischen Challenge-Response-Verfahren arbeitet. Die wichtigere Frage lautet daher nicht nur, ob RFID-Tags geklont werden können, sondern welche RFID-Tags leicht zu kopieren sind, welche deutlich besser geschützt sind und was Unternehmen tun sollten, wenn Cloning-Risiken relevant werden.

Viele Missverständnisse entstehen, weil alle RFID-Tags als gleich sicher betrachtet werden. Das stimmt nicht. Ein einfacher passiver UHF-RFID-Aufkleber zur Kartonverfolgung ist nicht mit einem sicheren Zutrittsmedium vergleichbar. Ein HF-NFC-Tag für eine Marketingkampagne ist etwas anderes als eine ÖPNV-Karte oder ein Mitarbeiterausweis mit hohem Sicherheitsniveau. Manche Tags sind vor allem für Identifikation und schnelle Prozesse ausgelegt. Andere werden mit deutlich stärkerem Fokus auf Sicherheit entwickelt. Wenn ein Tag nur eine statische Nummer speichert und keine sinnvolle Authentifizierung bietet, ist das Klonrisiko real und oft technisch nicht besonders anspruchsvoll. Wenn der Chip dagegen nachweisen muss, dass er echt ist, verändert sich das Sicherheitsmodell grundlegend.

Diese Unterscheidung ist wichtig, weil Cloning meist nicht bedeutet, die gesamte Mikroelektronik eines Tags physisch nachzubauen. In geschäftlichen Anwendungen meint Cloning häufig, einen zweiten Tag zu erzeugen, der für das Lesesystem wie das Original wirkt. Vertraut das System nur einer statischen Kennung, kann eine kopierte Kennung bereits genügen. Erwartet das System dagegen eine sichere Authentifizierung durch den Chip, reicht das Kopieren sichtbarer Daten meist nicht aus. Ein geklonter Tag ist also vor allem dann erfolgreich, wenn das System Original und Fälschung nicht zuverlässig unterscheiden kann.

Funktionales Cloning statt physischer Kopie

Ein Betreiber von Mehrwegtransportbehältern erlebte diesen Unterschied während eines regionalen Pilotprojekts. Das Unternehmen nutzte RFID-Tags an wiederverwendbaren Containern und ging davon aus, dass das System sicher sei, weil die Tags industriell und speziell wirkten. Nach einigen Monaten bemerkte das Betriebsteam jedoch, dass einzelne Behälter scheinbar gleichzeitig an unmöglichen Orten auftauchten. Die Analyse der Ereignisdaten zeigte, dass bei lokalen Tests doppelte Kennungen über günstige programmierbare Tags in Umlauf geraten waren. Die ursprünglichen Tags waren nicht bis auf Siliziumebene physisch kopiert worden. Ihre Identitäten waren lediglich übertragen worden. Für diesen Prozess reichte das aus, um falsche Bestandsverläufe und operative Verwirrung zu erzeugen.

Genau darin liegt der Kern des Problems. Viele RFID-Systeme sind nicht anfällig, weil Funktechnik grundsätzlich schwach wäre, sondern weil das Vertrauensmodell zu einfach ist. Wenn das Backend jede passende Kennung automatisch als echt akzeptiert, wird Cloning wesentlich leichter. Besonders relevant ist das bei RFID-Zutrittskontrolle, RFID-Asset-Tracking, Ticketing, Werkzeugverwaltung und bestimmten Programmen zur Lieferkettenverifizierung. Je stärker das System den Tag allein als Identitätsnachweis nutzt, desto größer kann der Schaden durch einen geklonten Tag werden.

Ein Klinikteam stand vor einer ähnlichen Frage, als Infusionspumpen und mobile Geräte mit RFID gekennzeichnet werden sollten. Das erste Konzept nutzte einfache Tags mit lesbaren Kennungen, weil das Ziel vor allem Transparenz und nicht Türöffnung oder Zahlung war. Operativ funktionierte der Ansatz. Aus Sicherheitssicht entstand jedoch ein Problem: Wenn eine Tag-ID kopiert und auf ein anderes Objekt übertragen werden konnte, ließ sich die Standortgeschichte kritischer Geräte verfälschen. Das hätte nicht zwingend bedeutet, dass ein reales Gerät unbemerkt entwendet werden kann. Es hätte aber Suche, Audit und Compliance-Dokumentation deutlich weniger verlässlich gemacht. Am Ende trennte die Klinik nach Risikoklassen: Standardprozesse mit geringem Schutzbedarf nutzten einfache Tags, während höherwertige Assets stärkere Identitätskontrollen in Tag und Systemlogik erhielten.

Welche RFID-Tags lassen sich leichter klonen?

Am einfachsten zu klonen sind in der Regel Tags, die eine statische Kennung offen ausgeben und keine starke Authentifizierung durchführen. Viele einfache RFID-Labels und Tags für Inventur- oder Logistikanwendungen fallen in diese Kategorie, weil sie nie als Schutz gegen gezielte Angriffe konzipiert wurden. Sie wurden für Geschwindigkeit, Kostenkontrolle und Prozesseffizienz entwickelt. Daran ist nichts falsch, solange das Unternehmen den Einsatzzweck und das Risiko richtig einordnet. Ein Kartonetikett im Lager benötigt nicht zwingend Schutz auf Bankniveau, wenn die Kennung erst in einem geschützten Backend Bedeutung erhält. Werden Low-Security-Tags jedoch in High-Trust-Prozessen eingesetzt, ändert sich das Risikoprofil sehr schnell.

Ein Campus-Projekt zeigt diese Fehlanpassung deutlich. Ein Facility-Team suchte eine kostengünstige Lösung für temporäre Zutrittsausweise und prüfte ein vereinfachtes RFID-Ausweisformat, das im Wesentlichen auf einer statischen Kartennummer basierte. Der Komfort lag auf der Hand. Die Sicherheitsabteilung lehnte den Ansatz für geschützte Bereiche ab, weil eine kopierte Nummer potenziell einen funktionierenden Zweitausweis erzeugen könnte, wenn die Türen dieser Nummer zu stark vertrauen. Der Campus entschied sich schließlich für stärkere Credentials in sensiblen Bereichen und nutzte einfachere Tags nur für unkritische Check-in-Prozesse. Die Lehre daraus war nicht, dass RFID unsicher ist. Die Lehre war, dass RFID mit niedrigem Sicherheitsniveau unsicher wird, wenn es Aufgaben mit hohem Vertrauensbedarf übernehmen soll.

Wie Authentifizierung das Sicherheitsmodell verändert

Hier verändert Authentifizierung die gesamte Sicherheitslogik. Sichere RFID-Tags geben nicht nur Daten aus. Sie weisen nach, dass sie echt sind. Statt lediglich eine feste Kennung zu senden, nehmen sie an einem Challenge-Response-Prozess oder einem anderen geschützten Austausch teil. Dadurch wird Cloning deutlich schwieriger, weil ein Angreifer nicht einfach eine Nummer auslesen und wiederverwenden kann. Das System erwartet ein Verhalten, das an interne Geheimnisse oder kryptografische Funktionen im Chip gebunden ist. Ein kopierter sichtbarer Code wirkt dann für den Reader nicht mehr wie der Original-Tag.

Ein Projekt für Premium-Bürozugang machte diesen Unterschied sehr klar. Das Unternehmen hatte zuvor ältere kontaktlose Karten eingesetzt, die modern wirkten, weil Mitarbeitende die Karte nur an den Leser halten mussten. Bei einer Sicherheitsprüfung stellte sich jedoch heraus, dass diese Karten zu stark auf vorhersehbaren Daten beruhten. Nach dem Umstieg auf stärkere Credentials änderte sich das Nutzerverhalten äußerlich kaum. Die Mitarbeitenden hielten ihre Karte weiterhin an die Tür. Technisch lief im Hintergrund jedoch kein simples Ausgeben einer Nummer mehr, sondern ein deutlich sichererer Authentifizierungsprozess. Das machte Cloning nicht für alle Zeiten theoretisch unmöglich, aber eine einfache Gelegenheitkopie wurde wesentlich unrealistischer.

Zusätzlich spielt eine Rolle, ob Tag-Speicher leicht gelesen oder beschrieben werden kann. Manche RFID-Chips unterstützen Passwörter, gesperrte Speicherbereiche, geschützte Befehle oder permanente Lock-Zustände. Solche Funktionen verhindern nicht automatisch jede Form von Cloning, reduzieren aber, welche Informationen ein Angreifer auslesen, kopieren oder verändern kann. Wenn kritische Daten nicht offen lesbar oder ohne Berechtigung änderbar sind, wird der Tag zu einem deutlich unattraktiveren Ziel. Deshalb bestehen sichere RFID-Konzepte meist aus mehreren Schutzebenen. Sicherheit ist selten ein einzelner Schalter. Sie ist ein Stapel kleiner Barrieren, die den Aufwand für einen Angriff erhöhen.

Ein Pharmaunternehmen erkannte den Wert dieses Schichtenmodells bei der Planung von RFID für serialisierte Produkte. Zunächst wollte eine Fachabteilung detaillierte Produktinformationen direkt auf dem Tag speichern, um Prüfungen in der Distribution zu vereinfachen. Compliance und Security sahen sofort die Kehrseite: Je mehr lesbare Details auf dem Tag liegen, desto leichter können Daten kopiert und für gefälschte Verpackungen missbraucht werden. Das finale Konzept reduzierte öffentlich lesbare Daten auf ein Minimum, sperrte wichtige Speicherbereiche nach autorisiertem Schreiben und verlagerte die Verifizierung stärker in das sichere Backend. Damit wurde Fälschung nicht grundsätzlich unmöglich, aber der Nutzen eines einfachen Klons sank erheblich.

Warum Reader-Systeme und Backend-Logik entscheidend sind

Das Klonrisiko hängt nicht nur vom RFID-Tag ab, sondern auch vom Reader-System und von der Backend-Logik. Eine kopierte RFID-Identität wird erst dann gefährlich, wenn das System sie blind akzeptiert. Gutes Systemdesign kann den Wert eines Klons deutlich verringern. Eine bewährte Strategie besteht darin, nur wenige sinnvolle Daten auf dem Tag zu speichern und die Kennung sicher im Backend aufzulösen. Eine weitere Möglichkeit ist die Prüfung auf unmögliches Verhalten, etwa wenn dieselbe Identität innerhalb eines unrealistischen Zeitfensters an zwei weit entfernten Orten erscheint. Zusätzlich kann RFID mit Kontext, Sensordaten, Benutzeridentität, Zeitregeln oder Transaktionshistorie kombiniert werden. Ein Klon, der isoliert funktioniert, kann in einem intelligenteren System trotzdem scheitern.

Ein Fertigungsunternehmen mit RFID-gestützter WIP-Verfolgung lernte dies, nachdem wiederholt Identitätsanomalien zwischen zwei Produktionszellen auftraten. Zunächst vermutete das Team Reader-Probleme. Eine genauere Prüfung zeigte jedoch, dass doppelte Kennungen aus einer lokalen Testroutine in den Betrieb gelangt waren. Das System war zu vertrauensvoll, weil jede gelesene Kennung automatisch als legitimer Arbeitsvorgang akzeptiert wurde. Die Lösung bestand nicht nur im Austausch von Tags. Das Unternehmen ergänzte Ereignislogik zur Erkennung unmöglicher Bewegungen, beschränkte die Ausgabe neuer Tags auf autorisierte Personen und legte fest, an welchen Stationen neue Identitäten überhaupt eingeführt werden dürfen. Danach war es deutlich unwahrscheinlicher, dass eine kopierte ID unbemerkt durch den Prozess läuft.

Für Einkäufer und Projektverantwortliche führt das zu einem wichtigen Perspektivwechsel. Die Frage lautet nicht nur, ob ein Tag geklont werden kann. Die wichtigere Frage lautet, was passiert, wenn jemand es versucht. Enthält der Tag nur eine nicht sensible Referenznummer und benötigt das Backend zusätzlichen Kontext, bevor diese Nummer Bedeutung erhält, kann das Risiko beherrschbar sein. Dient der Tag dagegen direkt als Nachweis für Zutritt, Zahlung oder regulierte Produktidentität, ist das Risiko wesentlich ernster und muss im Sicherheitsdesign berücksichtigt werden. Cloning hat kein universelles Gefahrenniveau. Es ist ein Geschäftsrisiko, das sich je nach Anwendung verändert.

Ein Schmuckdistributor bemerkte dies bei Tests für RFID in der Bewegung hochwertiger Bestände. Der erste Pilot verwendete Standardtags, weil das Team vor allem schnellere Inventuren und bessere Regaltransparenz erreichen wollte. Operativ funktionierte das gut. Später wurde das Projekt auf gesicherte Übergabepunkte zwischen Lager und Showroom ausgeweitet. Damit änderte sich die Bedeutung des Tags. Er war nicht mehr nur ein Hilfsmittel zum Zählen, sondern Teil eines vertrauenswürdigen Bewegungsnachweises. Das Unternehmen reagierte mit strengeren Regeln für die Tag-Registrierung, sichereren Credentials für hochwertige Trays und Softwareabgleich an Übergabepunkten. Es erklärte nicht pauschal alle RFID-Anwendungen für gefährlich, sondern passte das Sicherheitsmodell an die neue geschäftliche Bedeutung an.

Sichere Chips brauchen trotzdem sichere Einführung

Ein weiteres Missverständnis sollte vermieden werden: Sichere Tags beseitigen Cloning-Risiken nicht automatisch und dauerhaft. Sicherheitsfunktionen erhöhen die Hürde, oft deutlich. Die tatsächliche Sicherheit hängt aber weiterhin von Schlüsselmanagement, Reader-Schutz, Backend-Berechtigungen und operativer Disziplin ab. Ein starker Chip mit schwachen Schlüsseln oder nachlässiger Reader-Registrierung kann Teil eines schwachen Gesamtsystems bleiben. Genau hier führen Marketingbroschüren manchmal in die falsche Richtung. Ein sicherer RFID-Chip ist wertvoll, ersetzt aber keine sichere RFID-Implementierung.

Ein Cold-Chain-Betreiber machte diese Erfahrung bei einer Lagererweiterung. Das Management genehmigte sichere Tags für bestimmte überwachte Assets und fühlte sich durch die Chipfunktionen gut abgesichert. Eine spätere interne Sicherheitsprüfung fand jedoch einige Test-Reader, die noch Entwicklungseinstellungen und lockere Kontrollregeln aus der Inbetriebnahme nutzten. Es war kein Vorfall eingetreten, doch das Security-Team formulierte es deutlich: Das Unternehmen hatte stärkere Schlösser gekauft und zugleich einige Fenster offen gelassen. Erst nachdem Reader-Verwaltung, Enrollment-Geräte und Berechtigungen gehärtet wurden, verbesserte sich das gesamte Cloning-Risiko deutlich stärker, als es durch einen weiteren Chipwechsel allein möglich gewesen wäre.

Datenschutz, Ereignisse und reales Cloning-Risiko

Datenschutzfragen hängen ebenfalls mit Cloning zusammen. In Retail- und Eventumgebungen wird ein kopierter Tag nicht immer genutzt, um eine sichere Identität nachzuahmen. Manchmal liegt das größere Problem darin, dass offen lesbare Tags vorhersehbare Daten preisgeben, die gesammelt, analysiert oder wiederverwendet werden können. Ein geklontes Retail-Label öffnet keine Tür, kann aber Fälschungen erleichtern oder unerwünschte Tracking-Muster ermöglichen, wenn das System unüberlegt gestaltet ist. Datenschutzorientierte RFID-Programme reduzieren deshalb häufig lesbare Details, begrenzen den Nutzen des Tags nach dem Verkauf oder deaktivieren Tags nach dem Kauf, wenn dies sinnvoll ist.

Eine Modemarke stand genau vor dieser Entscheidung, als sie RFID-Bestandslabels großflächig einführte. Die operativen Vorteile waren klar, doch die Marke wollte vermeiden, dass aktive Produkt-Tags nach dem Verkauf noch zu viele verwertbare Informationen liefern. Die Lösung bestand teilweise aus Datenschutzmaßnahmen, aber auch aus Anti-Cloning-Denken. Wenn das Label außerhalb des eigenen Store-Ökosystems nur sehr begrenzt nützliche Informationen trägt, werden sowohl unbefugtes Auslesen als auch opportunistisches Kopieren weniger attraktiv. So konnte das Unternehmen die Effizienzvorteile nutzen, ohne Dritten unnötigen Mehrwert zu liefern.

Event-Credentials sind ein weiteres gutes Beispiel. Ein Festivalbetreiber nahm zunächst an, geklonte RFID-Wristbands seien nur dann ein Problem, wenn jemand die komplette Elektronik des Originalbands perfekt nachbaut. In der Realität war die funktionale Kopie die wichtigere Gefahr. Wenn eine kopierte Kennung Eintritts- oder Zahlungskontrollen bestehen konnte, reichte das bereits für Betrug. Der Veranstalter kombinierte daher stärkere Credential-Logik mit Backend-Validierung, zeitgesteuerter Aktivierung und strengeren Ausgaberegeln. Die Lösung war nicht eine einzelne Funktion, sondern ein mehrschichtiges Design, das einfaches Cloning deutlich weniger lohnend machte.

Wie Unternehmen RFID-Cloning-Risiken reduzieren

Können RFID-Tags also geklont werden? Ja, einige können es, und manche sind in der Praxis deutlich leichter zu kopieren als andere. Tags, die auf statische, lesbare Kennungen mit wenig oder keiner Authentifizierung setzen, sind die einfachsten Ziele. Tags mit stärkerer Authentifizierung, geschütztem Speicher und kryptografischen Funktionen lassen sich deutlich schwerer überzeugend duplizieren. Das endgültige Risiko entsteht jedoch nie nur durch den Tag. Es entsteht durch das gesamte System. Wenn Reader, Software, Schlüssel, Berechtigungen und Workflows jede passende Kennung als Wahrheit behandeln, wird Cloning zu einer ernsteren Gefahr. Wenn die Implementierung dagegen davon ausgeht, dass Tags kopiert werden könnten, und diese Möglichkeit aktiv berücksichtigt, sinkt das Risiko deutlich.

Für Unternehmen, die RFID-Sicherheit bewerten, ist die praktische Checkliste klar. Zuerst muss entschieden werden, ob der Tag nur ein Prozesslabel oder ein vertrauenswürdiges Credential ist. Zweitens sollte nicht mehr verwertbare Information auf dem Tag gespeichert werden als nötig. Drittens sind sichere RFID-Chips und Authentifizierungsfunktionen dort einzusetzen, wo die Anwendung es rechtfertigt. Viertens muss kontrolliert werden, wer Tags ausgeben, lesen und registrieren darf. Fünftens sollten Reader wie vernetzte Geräte geschützt werden, nicht wie harmlose Zubehörteile. Sechstens sollte das Backend unmögliche oder verdächtige Ereignisse erkennen, anstatt jedes Tag-Ereignis ungeprüft als echt zu akzeptieren. Und schließlich sollte das reale Vertrauensmodell getestet werden, nicht nur die Funkleistung.

Am Ende ist die Cloning-Frage vor allem eine Designfrage. RFID-Tags sind nicht allein durch ihre Kategorie automatisch sicher oder unsicher. Ob sie leicht oder schwer zu klonen sind, hängt davon ab, was der Chip kann, was das System erwartet und wie sorgfältig die gesamte Implementierung aufgebaut ist. Nutzt ein Unternehmen RFID nur als einfaches Label, kann ein gewisses Cloning-Risiko in vielen Workflows akzeptabel sein. Nutzt ein Unternehmen RFID dagegen als Nachweis für Identität, Zahlung oder Berechtigung, sind stärkere Kontrollen nicht optional. Sie entscheiden darüber, ob RFID nur bequem ist oder tatsächlich vertrauenswürdig bleibt.